What is an IT Security Policy?

O objetivo de uma política de segurança de TI

O objetivo é definir claramente as regras e procedimentos para a utilização dos ativos corporativos. Isso inclui informações direcionadas aos usuários finais e à equipe de TI e segurança. As políticas de segurança de TI devem ser projetadas para identificar e abordar os riscos de segurança de TI de uma organização. Eles fazem isso abordando os três objetivos principais da segurança de TI (também chamada de tríade da CIA):

• Confidencialidade: Proteger dados confidenciais contra exposição a partes não autorizadas.
• Integridade: Garantir que os dados não foram modificados durante o armazenamento ou trânsito.
• Disponibilidade: Fornece acesso contínuo a dados e sistemas para usuários legítimos.

Esses três objetivos podem ser alcançados de diversas maneiras diferentes. Uma organização pode ter diversas políticas de segurança de TI direcionadas a diferentes públicos e abordando vários riscos e dispositivos.

A importância de uma política de segurança de TI

Uma segurança de TI é um registro escrito das regras e políticas de segurança de TI de uma organização. Isso pode ser importante por vários motivos diferentes, incluindo:

• Comportamento do usuário final: os usuários precisam saber o que podem ou não fazer nos sistemas de TI corporativos. Uma política de segurança de TI estabelecerá regras para uso aceitável e penalidades para a não conformidade.
• Gerenciamento de riscos: uma política de segurança de TI define como os ativos de TI corporativos podem ser acessados e usados. Isso define a superfície de ataque corporativo e a quantidade de risco cibernético enfrentado pela empresa.
• Continuidade dos negócios: um ataque cibernético ou outro evento que perturbe os negócios inibe a produtividade e custa dinheiro à organização. As políticas de segurança de TI ajudam a tornar esses eventos menos prováveis e a resolvê-los de forma eficiente, caso ocorram.
• Resposta a Incidentes: No caso de uma violação de dados ou outro incidente de segurança, uma resposta correta e rápida é fundamental. Uma política de segurança de TI define as ações que devem ser tomadas quando ocorre um incidente.
• Conformidade Regulatória: Muitas regulamentações, como o GDPR e a ISO, exigem que uma organização tenha políticas e procedimentos de segurança em vigor e documentados. A criação dessas políticas é necessária para alcançar e manter a Conformidade regulatória.

Informações importantes sobre políticas de segurança de TI

As políticas de segurança de TI de uma organização devem ser projetadas para atender às necessidades do negócio. Podem ser uma política única e consolidada ou um conjunto de documentos que abordam diferentes questões.

Apesar disso, todas as políticas de segurança de TI das organizações devem conter determinadas informações importantes. Quer sejam documentos independentes ou seções de um documento maior, uma política corporativa de segurança de TI deve incluir o seguinte:

• Uso aceitável: como os usuários finais têm permissão para usar sistemas de TI
• Gerenciamento de mudanças: processos para implantação, atualização e desativação de ativos de TI
• Retenção de dados: por quanto tempo os dados podem ser armazenados e como descartá-los adequadamente
• Resposta a Incidentes: Processos para gerenciar possíveis incidentes de segurança
• Segurança de Rede: Políticas para proteger a rede corporativa
• Senha: Regras para criação e gerenciamento de senhas de usuários
• Conscientização sobre Segurança: Políticas para treinar funcionários sobre ameaças cibernéticas

Além dessas políticas básicas, uma política de segurança de TI também pode incluir seções direcionadas às necessidades específicas de uma organização. Por exemplo, uma empresa pode precisar de políticas de Traga seu próprio dispositivo (BYOD) ou de trabalho remoto.

Como redigir uma política de segurança de TI

Ao escrever uma política de segurança de TI, um bom ponto de partida são as melhores práticas estabelecidas. Organizações como o SANS Institute publicaram modelos para políticas de segurança de TI.

Esses modelos podem então ser editados para atender às necessidades exclusivas de uma organização. Por exemplo, uma empresa pode precisar adicionar seções para abordar casos de uso exclusivos ou adaptar a linguagem para se adequar à cultura corporativa.
Uma política de segurança de TI deve ser um documento vivo. Deve ser revisado e atualizado regularmente para atender às necessidades crescentes do negócio.

Soluções de segurança de TI da Check Point

Ao elaborar suas políticas de segurança de TI, considere os produtos e serviços da Check Point. Aprenda como apoiar e aplicar com eficiência sua política corporativa de segurança de TI lendo este whitepaper. Então, veja você mesmo o poder da plataforma de segurança integrada da Check Point com uma demogratuita.